리눅스용 PureVPN 쓰다 실제 IP 유출되고 방화벽까지 날아간 사연

요약 한 보안 연구원이 리눅스 환경(우분투)에서 PureVPN 클라이언트를 사용하던 중 심각한 보안 결함 두 가지를 발견해 공개했습니다. 첫 번째 결함은 인터넷 연결이 끊겼다가 다시 연결되는 과정에서 발생하는 'IPv6 유출' 문제입니다. 와이파이나 이더넷이 잠시 끊기거나 절전 모드에서 복귀할 때, CLI 클라이언트는 자동 재연결되어 '연결됨'으로 표시되지만 시스템에 새 기본 IPv6 경로가 생성되면서 VPN 터널 바깥으로 실제 ISP의 IPv6 트래픽이 그대로 노출되는 현상이 나타났습니다. GUI 버전 역시 킬스위치가 IPv4는 차단하지만 IPv6 트래픽은 차단하지 못해 사용자의 원래 IP가 그대로 유출되는 취약점이 확인되었습니다. 두 번째 문제는 VPN 클라이언트가 시스템의 기존 방화벽(iptables) 설정을 임의로 초기화해 버리는 현상입니다. VPN에 접속하는 순간 기본 수신(INPUT) 정책이 '허용(ACCEPT)'으로 바뀌고, UFW나 도커, 사용자가 수동으로 설정해 둔 커스텀 방화벽 규칙들이 전부 삭제되었습니다. 심지어 VPN 연결을 종료한 뒤에도 원래의 방화벽 설정으로 복구되지 않아 시스템 보안에 심각한 공백을 초래했습니다. 연구원은 이 두 문제를 PureVPN 측에 제보했으며, 각각 CVE-2025-59691 및 CVE-2025-59692로 보안 취약점 번호가 등록되었습니다. 이후 PureVPN 측은 보안 권고문을 발표하고 결함을 인정한 뒤 패치된 새 리눅스 클라이언트 버전을 배포했습니다. 연구원이 새로 제공된 빌드로 검증을 진행한 결과, 킬스위치가 활성화된 상태에서 네트워크가 재연결되더라도 IPv4와 IPv6 트래픽이 모두 정상 차단되어 유출 문제가 해결된 것으로 확인되었습니다.